Federación de Identidad (SAML / OIDC / OAuth)
ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)
AHORA: Leer pentest precedente; agregar cuentas de prueba SSO y alcance IdP/SP al scopeAHORA: Prohibir intentos de fuerza bruta que bloqueen cuentas de usuario realesSIGUIENTE: Herramientas de captura de tráfico y documentación (URL de metadatos)ACCIÓN: Mapeo del flujo del protocolo → errores de configuración comunes → verificación
Escenarios de Aplicación
- Manipulación de firma/aserción en respuesta SAML (patrón de fallo clásico)
- Flujo implícito/código de autorización OIDC sin PKCE
- Problemas con redirect_uri / state / nonce
- Confusión de emisor (issuer) en metadatos IdP y SP, multitenencia
- Complementario a ataques JWT de
api-security(esta habilidad se centra en flujos federados y SSO)
Flujo de Trabajo
□ Dibujar: Usuario → SP → IdP → Token → SP
□ Recopilar: /.well-known/openid-configuration, metadatos SAML
□ Verificar: Coincidencia exacta de redirect_uri, vinculación de state, PKCE
□ Verificar: Cobertura de firma SAML, degradación de algoritmo
□ Fijación de sesión y fallo de cierre de sesión
Cadena de Herramientas
| Herramienta | Uso |
|---|---|
| Burp + SAML Raider, etc. | Edición de aserciones (autorización) |
| jwt_tool | Segmentos JWT |
| DevTools del navegador | Cadena de redirección |
| Registros de administración del IdP | Auditoría |
Referencias
references/sso-flow-checklist.md../api-security/../windows-ad/(IdP empresarial)
Contexto de Ruta
Ascendente: MASTER R37
Descendente: API JWT pura → api-security; IdP en la nube → cloud-k8s
Autoverificación de Finalización de Tarea
- ¿Se ha mapeado el flujo completo de SSO?
- ¿Cada hallazgo tiene reproducción e impacto?
- ¿Lista de verificación?